An ninh tại Blockchain0x.
Các khoản thanh toán của đại lý di chuyển tiền thật. Các lựa chọn kiến trúc bảo vệ quỹ của khách hàng, tư thế kiểm toán hiện tại, và cách liên hệ với chúng tôi nếu bạn phát hiện điều gì đó sai.
Những gì bạn có thể mong đợi từ trang này.
Chúng tôi là một công ty giai đoạn đầu cung cấp hạ tầng mà khách hàng sẽ tin tưởng với quyền hạn thanh toán. Niềm tin được xây dựng dựa trên những gì bạn có thể xác minh, không phải trên những gì bạn được nói. Trang này ghi lại bốn điều mà khách hàng và các nhà nghiên cứu bảo mật có thể xác minh hoặc yêu cầu chúng tôi: các cam kết kiến trúc vẫn giữ nguyên ngay cả khi chúng tôi sai về mọi thứ khác, tình trạng hiện tại của tư thế kiểm toán của chúng tôi (bao gồm những gì chúng tôi chưa thực hiện), phạm vi và phần thưởng của chương trình thưởng lỗi, và con đường liên hệ cho việc tiết lộ có trách nhiệm.
What this page is not: a marketing surface designed to look maximally serious about security. We did not invent security certifications we do not hold, did not list "compliance" with frameworks we have not audited against, and did not put trust badges on the page that we did not earn. When we have a SOC 2 attestation or a third-party penetration test report, those will be referenced here with the auditing firm, the date, and the scope. Until then, this page says so plainly.
Bốn thuộc tính được giữ bởi cấu trúc.
Các đảm bảo dưới đây là kiến trúc - chúng là các thuộc tính của cách hệ thống được xây dựng, không phải cách nó được vận hành. Bảo mật hoạt động có thể bị gián đoạn (một khóa bị rò rỉ, một triển khai cấu hình sai); các đảm bảo kiến trúc không phụ thuộc vào việc hoạt động hàng ngày phải hoàn hảo. Đây là những phần của câu chuyện bảo mật mà bạn có thể tin tưởng ngay cả trong tuần hoạt động tồi tệ nhất.
Không giữ ở cấp độ nền tảng
Blockchain0x không giữ tiền của khách hàng. Ví được sở hữu bởi đại lý (hoặc bởi nhà cung cấp lưu ký cơ sở mà khách hàng đã kết nối, như Circle Programmable Wallets hoặc Coinbase Smart Wallet). Dịch vụ Blockchain0x vận hành bề mặt phát triển trên các ví đó - APIs, bảng điều khiển, danh tính, chính sách chi tiêu - và không bao giờ có quyền ký trên các số dư.
Chính sách chi tiêu được thực thi ở phía máy chủ, không phải trong tác nhân
Các giới hạn hàng ngày, trần mỗi giao dịch, danh sách cho phép bên đối tác và khoảng thời gian được đánh giá bởi API ví Blockchain0x trên mỗi ý định thanh toán trước khi thanh toán. Thời gian chạy của tác nhân không thể truy cập vào kho chính sách; một tác nhân bị tiêm lệnh vẫn không thể nâng cao giới hạn của chính nó.
Xác nhận thanh toán đã được xác thực biên lai
Biên lai thanh toán được hiển thị bởi API được xác thực ở phía máy chủ so với giao dịch phát hành trước khi xác nhận. Một khách hàng không thể làm giả một biên lai tại chỗ và trình bày nó như là bằng chứng thanh toán; bước xác thực biên lai là mô hình tin cậy giống như mô hình chữ ký webhook của Stripe.
Chữ ký webhook, không phải bí mật chia sẻ trong URL
Mỗi sự kiện webhook mà chúng tôi phát ra đều được ký bằng HMAC-SHA256 trên thân thô sử dụng một bí mật ký cho từng người thuê. Bí mật ký không bao giờ được gửi trong URL hoặc chuỗi truy vấn. Khách hàng xác minh chữ ký khi nhận; chúng tôi cung cấp các triển khai tham khảo trong tài liệu.
Nơi chúng ta đang ở hôm nay, một cách chân thành.
The table below is the current state of external audits, third-party reviews, and certifications. We update this page when any line changes - dates are real, scopes are real, and "planned" means scheduled with a firm, not aspirational.
Kiểm tra thâm nhập bên thứ ba
Dự kiến vào Q4 2026Bài kiểm tra xâm nhập bên ngoài đầu tiên được lên lịch cho nửa sau của năm. Phạm vi: ứng dụng web, API công khai, bề mặt webhook, xác thực bảng điều khiển. Tóm tắt báo cáo đầy đủ sẽ được công bố ở đây khi hoàn tất.
SOC 2 Type I
Nhắm đến năm 2027Chúng tôi chưa được kiểm toán SOC 2 hôm nay. Thời gian dự kiến thực tế cho chứng nhận loại I là nửa đầu năm 2027; loại II sẽ theo sau sau thời gian quan sát từ 6 đến 12 tháng.
Kiểm toán hợp đồng thông minh
Kế thừa từ nguồn gốcHiện tại chúng tôi không vận hành smart contract của riêng mình. Các primitive on-chain là Circle Programmable Wallets, Coinbase Smart Wallet và các hợp đồng nền tảng Base / USDC, tất cả đều có báo cáo kiểm toán độc lập riêng từ các đội phát hành. Nếu và khi chúng tôi phát hành hợp đồng của riêng mình (các tính năng account-abstraction), chúng sẽ được kiểm toán trước khi triển khai lên mainnet.
Đánh giá an ninh nội bộ hàng năm
Đang diễn raKiểm tra định kỳ về việc thay đổi bí mật, quét phụ thuộc và kiểm toán quyền truy cập. Danh sách kiểm tra cứng hóa trước khi ra mắt được ghi lại trong [hướng dẫn bảo mật ví tác nhân của chúng tôi](/learn/guides/secure-your-agent-wallet) cho khách hàng; phiên bản nội bộ phản ánh điều đó.
Chúng tôi trả tiền cho nghiên cứu bảo mật.
Chúng tôi điều hành một chương trình thưởng lỗi riêng. Các báo cáo được gửi trực tiếp đến email bảo mật của chúng tôi; chúng tôi phân loại trong vòng hai ngày làm việc và trả tiền cho các phát hiện đã xác nhận theo mức độ nghiêm trọng. Các khoản thanh toán được thực hiện bằng USDC, trên Base, đến ví mà người báo cáo chọn. Chúng tôi không yêu cầu NDA pháp lý để nộp báo cáo.
Trong phạm vi
- Xác thực và quản lý phiên trên dashboard hoặc API.
- Leo thang đặc quyền giữa các workspace hoặc agent trong cùng một tài khoản.
- Server-side request forgery, command injection, hoặc remote code execution trong API.
- Vượt qua xác thực chữ ký webhook hoặc xác thực biên nhận.
- Cơ chế vượt qua chính sách chi tiêu cho phép agent chuyển tiền vượt ngoài hạn mức hoặc allowlist đã cấu hình.
- Rò rỉ dữ liệu nghiêm trọng (giao dịch, secrets, audit logs của tenant khác).
Ngoài phạm vi
- Self-XSS hoặc các cuộc tấn công yêu cầu nạn nhân tự gõ hoặc dán đầu vào độc hại vào console của chính họ.
- Các báo cáo phụ thuộc vào việc social-engineering nhân viên hoặc nhà thầu.
- Các báo cáo liên quan đến dịch vụ bên thứ ba mà Blockchain0x tích hợp (Coinbase, Circle, v.v.) - những báo cáo đó nên gửi đến chương trình riêng của bên thứ ba.
- Phát hiện trên các endpoint thử nghiệm (`sk_test_` keys, `*.test.blockchain0x.com`, Base Sepolia).
- Thiếu security header nhưng chưa chứng minh được tác động.
- Các vấn đề mang tính lý thuyết mà không có proof-of-concept hoạt động.
| Mức độ nghiêm trọng | Ví dụ | Phạm vi thanh toán |
|---|---|---|
| Quan trọng | Di chuyển quỹ giữa các thuê bao, bỏ qua chính sách chi tiêu quy mô lớn, chiếm đoạt tài khoản mà không cần hành động của người dùng. | $5,000 - $25,000 |
| Cao | Tăng quyền xác thực, bỏ qua chữ ký webhook với tác động có thể đo lường, giả mạo yêu cầu phía máy chủ trong API. | $1,000 - $5,000 |
| Trung bình | XSS lưu trữ trong bảng điều khiển với đường khai thác thực tế, rò rỉ thông tin nhạy cảm với tác động hạn chế. | $250 - $1,000 |
| Thấp | XSS phản chiếu với khả năng khai thác hạn chế, rò rỉ thông tin nhỏ, khuyến nghị cứng hóa với giá trị đã được chứng minh. | $50 - $250 |
Quyết định thanh toán là cuối cùng và được đưa ra bởi người đứng đầu kỹ thuật trong cuộc trò chuyện với người sáng lập. Phần thưởng là cho các phát hiện đã xác nhận, có thể tái tạo trong phạm vi; các bản sao của một vấn đề đã được báo cáo chỉ trả cho người báo cáo đầu tiên. Chúng tôi ghi nhận công khai những người báo cáo trên trang này theo yêu cầu khi vấn đề được khắc phục.
Cách báo cáo vấn đề bảo mật.
Gửi email [email protected] với: mô tả về vấn đề, một bản tái tạo từng bước, URL hoặc điểm cuối bị ảnh hưởng, tác động bạn quan sát được, và thông tin liên hệ của bạn để nhận tiền thưởng (một địa chỉ ví Base là đủ; không cần tên thật). Các báo cáo mã hóa được hoan nghênh - khóa PGP của chúng tôi có sẵn theo yêu cầu.
Chúng tôi cam kết xác nhận báo cáo của bạn trong vòng hai ngày làm việc, phân loại trong vòng năm ngày, và gửi một bản sửa lỗi hoặc quyết định chấp nhận rủi ro trong vòng ba mươi ngày cho các phát hiện đã xác nhận (hoặc sớm hơn cho các vấn đề nghiêm trọng). Chúng tôi không đe dọa hành động pháp lý đối với nghiên cứu bảo mật thiện chí tuân theo các quy tắc tiết lộ có trách nhiệm - chỉ tiết lộ dữ liệu cần thiết để chứng minh vấn đề, không lấy cắp dữ liệu khách hàng, không thực hiện các bài kiểm tra gây rối ảnh hưởng đến người dùng sản xuất.
Đối với các vấn đề không liên quan đến bảo mật (hỗ trợ chung, thanh toán, hợp tác), sử dụng /contact. Email bảo mật chỉ được theo dõi cho các báo cáo bảo mật.
Những gì chúng tôi nói nếu có điều gì đó sai.
Các sự cố sản xuất ảnh hưởng đến quỹ khách hàng, dữ liệu khách hàng hoặc khả năng của API thanh toán sẽ nhận được một báo cáo công khai trong vòng ba mươi ngày kể từ khi được giải quyết, bất kể mức độ nghiêm trọng. Các sự cố nhỏ hơn (hiệu suất giảm, mất điện một phần khu vực) sẽ được thông báo qua các cập nhật trạng thái đến khách hàng bị ảnh hưởng nhưng không nhất thiết phải có báo cáo công khai.
Chúng tôi không đổ lỗi cho khách hàng trong các cuộc điều tra sau sự cố. Chúng tôi không đổ lỗi cho các nhà cung cấp bên thứ ba nếu nguyên nhân gốc rễ là của chúng tôi. Chúng tôi nêu rõ nguyên nhân gốc rễ, liệt kê những gì chúng tôi đang thay đổi như một kết quả, và giữ cho báo cáo sau sự cố có sẵn vô thời hạn. Mong đợi mà khách hàng nên có là chúng tôi sẽ cho bạn biết những gì đã xảy ra trước khi bạn phải hỏi.
Liên hệ an ninh
Báo cáo và nộp tiền thưởng: [email protected]. Khóa PGP theo yêu cầu.